Metadati degli Eventi di Sicurezza Open Source (OSSEM)

Un progetto guidato dalla comunità focalizzato principalmente sulla documentazione, standardizzazione e modellazione dei log degli eventi di sicurezza.

https://ossemproject.com/intro.html

Obiettivi

• Definire e condividere un modello dati comune per migliorare la standardizzazione e la trasformazione dei log degli eventi di sicurezza
• Definire e condividere strutture dati e relazioni identificate nei log degli eventi di sicurezza
• Fornire informazioni dettagliate in formato dizionario su diversi log degli eventi di sicurezza alla comunità
• Imparare di più sui log degli eventi di sicurezza (Windows, Linux, MacOS, Azure, AWS, ecc.)

Struttura del Progetto

• Dizionari Dati (DD):
  • Contiene informazioni specifiche su diversi log di eventi di sicurezza organizzati per sistema operativo e rispettivi provider di dati.
  • Ogni dizionario descrive un singolo log di eventi e i suoi corrispondenti nomi di campo.
  • Fornisce i concetti fondamentali per creare un wiki di dati in un'organizzazione.
• Modello Dati Comune (CDM)
  • Facilita la normalizzazione dei dati fornendo un modo standard per analizzare i log degli eventi di sicurezza.
  • Il progetto è organizzato per entità di schema identificate in diverse fonti dati.
  • Le definizioni di ciascuna entità di schema e dei suoi rispettivi attributi (nomi di campo) sono per lo più descrizioni generali che potrebbero aiutare e accelerare le procedure di parsing dei log degli eventi.
  • Il progetto fornisce anche il concetto di tabelle di schema per aggregare entità comuni e analizzare fonti dati simili. Ad esempio, le entità HTTP, Port e User Agent possono essere utilizzate per normalizzare i metadati del traffico di rete catturato in un ambiente di rete.
• Modello di Rilevamento (DM):
  • Si concentra sull'identificazione di relazioni tra gli eventi di sicurezza per facilitare lo sviluppo di analisi dei dati e aiutare a validare il rilevamento delle tecniche avversarie.

Sponsor

Autore

• Roberto Rodriguez @Cyb3rWard0g

Committer Attuali

• Jose Luis Rodriguez @Cyb3rPandaH
• Nate Guagenti @neu5ron
• Ricardo Dias @hxnoyd

Progetti che Usano OSSEM

• HELK
• Normalizzazione Azure Sentinel

Risorse

• Pronto a cacciare? Prima, mostrami i tuoi dati!
• Novità di Windows 10, versioni 1507 e 1511
• Scarica gli eventi di audit di sicurezza per Windows (foglio di calcolo)
• Impostazioni avanzate dei criteri di audit di sicurezza
• Monitoraggio di Active Directory per segni di compromissione
• Raccomandazioni sui criteri di audit
• Usare Windows Event Forwarding per aiutare nel rilevamento delle intrusioni
• Criterio di audit minimo consigliato
• Documenti ITPro di Windows - Protezione dalle minacce
• MITRE ATT&CKcon 2018: Hunters ATT&CKing with the Data
• MITRE ATT&CKcon 2.0: Ready to ATT&CK? Bring Your Own Data (BYOD) and Validate Your Data Analytics!
• Definire le fonti dati ATT&CK, Parte I: Migliorare lo stato attuale
• Definire le fonti dati ATT&CK, Parte II: Operativizzare la metodologia